Unternehmen haften für Datenschutz auf Facebook

Betreiber von Facebook-Fanseiten müssen zusammen mit dem Konzern die Nutzerdaten schützen. Das sagt der EuGH in einem aktuellen Urteil. Konsequenzen für die Unternehmen sind aber noch unklar.

Dieser Artikel gehört zum Themen-Special Das aktuelle Datenschutzrecht

Der Europäische Gerichtshof (EuGH) hat entschieden, dass die Betreiber von Facebook-Fanseiten gemeinsam mit dem sozialen Netzwerk für die Einhaltung des Datenschutzes verantwortlich sind. Bisher konnten Betreiber auf Facebook Nutzerdaten sammeln, ohne sich Gedanken um den Datenschutz machen zu müssen. Denn dafür schien der US-Konzern allein verantwortlich zu sein. Das aktuelle Urteil ändert die Lage.

Der Fall: Der damalige Datenschutzbeauftragten von Schleswig-Holstein, Thilo Weichert, ordnete 2011 an, die Facebook-Auftritte der IHK-Wirtschaftsakademie zu deaktivieren. Ihn störte, dass die Wirtschaftsakademie nicht auf die Datenverarbeitung per Cookies hinwies, mit denen das Netzwerk Daten der Nutzer für Besucherstatistiken erstellt. Die Akademie wehrte sich und der Fall ging bis zum Bundesverwaltungsgericht, der einige Grundsatzfragen dem EuGH vorlegte.

Müssen Unternehmen jetzt  die Fanpage abschalten?

Das Urteil: Der EuGH gab dem Datenschutzbeauftragten recht, er habe sämtliche Befugnisse gehabt für sein Vorgehen. Der Fanpage-Betreiber sei mitverantwortlich, denn er gestalte sein Informations- und Kommunikationsangebot selbst und trage damit zur Verarbeitung der personenbezogenen Daten der Besucher bei. Er habe durchaus Einfluss auf die Auswertung der Daten, obwohl Facebook die Erhebung durchführe. 

Nach dem EuGH ist der Begriff "Verantwortlicher" weit auszulegen, um einen wirksamen Datenschutz zu gewährleisten. Auch die neue Datenschutzgrundverordnung (DSGVO), die Ende Mai in Kraft getreten ist, lässt keinen andere Deutung zu, da sie wortgleich ist mit der früheren Regelung. Allerdings sehen die Richter "in erster Linie" Facebook in der Verantwortung. Das stellten sie ausdrücklich klar. Sie betonten außerdem, dass der Datenschutzbeauftragte sich auch direkt hätte an Facebook wenden können, anstatt gegen den Seitenbertreiber vorzugehen.

Die Folgen für Unternehmen ließen die Europarichter aber offen. Sie haben nicht entschieden, dass die Fan-Seiten inhaltlich gegen Datenschutzrecht verstoßen. Daher kann man heute noch nicht genau sagen, welche Hinweise für die Nutzer ein Seitenbetreiber künftig möglicherweise aufnehmen muss. Manche Juristen halten die Abschaltung der Fanseiten derzeit für “die einzige rechtskonforme Lösung”. Allerdings ist das letzte Wort noch nicht gesprochen: Der Fall geht jetzt ans Bundesverwaltungsgericht zurück. Das muss dann auch inhaltlich beurteilen, ob hier gegen den Datenschutz verstoßen wurde.

Europäischer Gerichtshof, Urteil vom 5. Juni 2018, C-210/16